DNS sızıntısı ve DNS zehirlenmesi: nasıl test edilir, nasıl çözülür

DNS, internette yol sormanın yoludur. Bir alan adı yazarsınız, cihazın bir IP adresine ihtiyacı vardır; aradaki adım, yani bu ada hangi adresin ait olduğu, bir DNS sunucusuna sorulan sorudur. Varsayılan olarak bu sunucuyu sağlayıcınız ya da router'ınız seçer ve klasik DNS sorguları şifrelenmez: yol üzerindeki cihazlar soruyu okuyabilir ve gerçek sunucudan önce yanıt verme fırsatı bulur.

DNS zehirlenmesi, bu yanıtın sahtesiyle değiştirilmesidir: ad, alakasız bir adrese ya da ulaşılamayan bir adrese yönlendirilir. Kullanıcı tarafında şöyle görünür.

• Bazı siteler sonsuza dek yüklenir, zaman aşımına uğrar ya da “bağlantı sıfırlandı” der; aynı anda diğer siteler normal çalışır.
• Herkese açık bir DNS sunucusuna geçmek işe yaramaz: sahte yanıt yolda araya sokulur, kime sorarsanız sorun sahte yanıt size gerçek yanıttan önce ulaşır.
• Aynı ad her seferinde farklı bir adrese çözülür ve bu adresler siteyle hiçbir ilgisi olmayan kuruluşlara aittir.
• Tarayıcı sertifika hatası gösterir: ad başka birinin sunucusuna yönlendirilmiştir ve o sunucu sitenin sertifikasını sunamaz. Orada durun, uyarıyı geçip devam etmeyin.
• Başka bir ağda (örneğin mobil veride) ya da VPN bağlıyken aynı site hemen açılır.

Durum zaten “VPN'le açılıyor, VPN'siz açılmıyor” ise bu kadarı yeterli bir sonuçtur. Belirli bir adın doğru çözülüp çözülmediğini doğrulamak için şu dört adımı izleyin.

1. VPN kapalıyken bilgisayarın komut satırında adı sorgulayın (example.com yerine ilgili alan adını yazın) ve dönen adresi not edin: nslookup example.com
2. VPN'i bağlayın (tüm cihazı kapsayan bir yöntemle, global modda) ve aynı adı yeniden sorgulayın. Sonuçların farklı çıkması olağandır, çünkü büyük sitelerin birçok yerde sunucusu vardır; asıl önemli olan bir sonraki adımdır.
3. İlk adresi ipinfo.io gibi bir IP sorgulama sitesine götürüp kime ait olduğuna bakın. Sitenin kendisine ya da bulut sağlayıcısına aitse çözümleme doğrudur. Alakasız bir kuruluşa aitse ya da hiç ulaşılamıyorsa yanıt zehirlenmiştir.
4. Birkaç kez tekrarlayın. Gerçek sonuçlar küçük ve sabit bir adres kümesi içinde kalır; zehirlenmiş sonuçlar çoğu zaman her sorguda değişir.

Kısmi olandan tam olana dört yol var. İlk ikisi yalnızca kime sorduğunuzu değiştirir; üçüncüsü hem sormayı hem gitmeyi birlikte çözer.

• DNS sunucusunu değiştirmek: sağlayıcının kendi DNS'i hatalıysa ya da eski bir adresi önbelleğe aldıysa işe yarar. Yolda araya sokulan yanıtlara karşı hiçbir şey yapmaz.
• Şifreli DNS (DoH, DoT): sorgu yolda değiştirilemez, gerçek adresi alırsınız. Ama gerçek adrese yine de ulaşılamayabilir; yani bu yarım bir çözümdür.
• Hem çözümlemeyi hem trafiği bağlantıdan geçirmek: tam çözüm budur. Ad karşı uçta çözülür, yanıt gerçektir ve ziyaret de karşı uçtan çıkar.
• hosts dosyasını düzenleyip adresi elle sabitlemek: adres değiştiği anda bozulur ve birkaç siteden fazlasına ölçeklenmez. Geçici çare olarak uygundur.
• LeoTun üçüncü yolu izler: DNS bağlantı tarafından atanır ve tünelin içinde çözülür, cihazın kendi DNS'i kullanılmaz. Web Proxy'de adları tarayıcı adına proxy sunucusu çözer. Router bunu evdeki her cihaz için yapar ve Çin sitelerini Çin içinden çözerek doğrudan açılmalarını sağlar. Bizim bağlantılarımızda normalde hiçbir DNS ayarını değiştirmeniz gerekmez.

• DNS zehirlenmesi: yanıt sahtedir. Site açılmaz ya da başka bir yere gönderilirsiniz. Bağlantı kullanmıyorsanız ya da çözümleme bağlantıdan geçmiyorsa olur.
• DNS sızıntısı: yanıt gerçektir ama soru yerel sağlayıcınıza sorulmuştur. Sağlayıcı hangi alan adlarına gittiğinizi öğrenir; bir video sitesi de buradan gerçek konumunuzu çıkarabilir. VPN bağlıyken sorgular tünelin dışından gidiyorsa olur.
• Sızıntının yaygın nedenleri: tarayıcıda ya da sistemde güvenli DNS'in açık olması; aynı anda başka bir VPN'in ya da mesh ağ aracının çalışması; cihazın IPv6 trafiğinin tünelden geçmemesi.
• Yurt dışından Çin videosu izlerken sızıntının tipik belirtisi “bağlı, IP doğru, ama bölge uyarısı hâlâ çıkıyor” durumudur. Adımlar şu rehberde: Yurt dışında Tencent Video ya da iQIYI açılmıyor.

1. Çıkış IP'si: bağlandıktan sonra ipinfo.io ya da ip.sb gibi bir IP sorgulama sitesini açın. Adres ve konum, ev internetiniz değil, seçtiğiniz çıkış olmalıdır.
2. DNS: bir DNS sızıntı testi açın (dnsleaktest.com ya da browserleaks.com'daki DNS sayfası). Adlarınızı çözen sunucuları listeler. Global modda yerel sağlayıcınız listede görünmemelidir.
3. IPv6: test-ipv6.com'u açın. IPv6 kullanılamıyor görünüyorsa ya da yerel adresiniz olmayan bir adres gösteriyorsa sorun yoktur.
4. Bölünmüş yönlendirme modunda sonucu farklı okuyun: Çin sitelerinin zaten Çin içinden çözülmesi gerekir, bu yüzden test sayfasında Çin'deki bir sunucunun görünmesi her zaman sızıntı demek değildir. Emin olmak için global moda geçip yeniden test edin.
5. Bağlantıyı kesip her şeyi bir kez daha çalıştırın ve karşılaştırın. İki sonuç aynıysa trafik bağlantıdan geçmiyordur; istemcinin gerçekten bağlı olduğunu kontrol edin.

Bölünmüş yönlendirme açıkken bu normaldir; aslında bölmenin işini yaptığını gösterir. Çin'in içindeyken yurt dışı bir bölge seçtiyseniz, Çinli bir IP sorgulama sitesine doğrudan gidilir ve o site ev internetinizin adresini görür; yurt dışındaki bir sorgulama sitesi ise bağlantıdan geçer ve çıkış adresini görür. İkisi de doğrudur: biri “Çin siteleri beni nerede görüyor”, diğeri “yabancı siteler beni nerede görüyor” sorusunu yanıtlar.

Çin girişi için de aynısı geçerlidir: Çin siteleri Çin'den çıkar, yabancı siteler yurt dışındaki bir hattan iner; bu yüzden yurt dışındaki bir sorgulama sitesi yurt dışı ucu gösterir.

Üçüncü tür uyuşmazlık veri tabanlarından gelir. Bir IP'nin hangi ülkeye ya da şehre ait olduğu, her sorgulama sitesinin kullandığı coğrafi konum veri tabanına bağlıdır ve bunlar farklı zamanlarda güncellenir. Aynı IP'nin iki sitede farklı şehir, hatta farklı ülke göstermesi olağandışı değildir. Bir site ya da uygulama aslında kendi veri tabanına bakar.

Her şey bağlantıdan geçerken çıkışı görmek için istemciyi global moda alıp tekrar bakın. Router'daki bölünmüş yönlendirmenin yönleri ve nasıl doğrulanacağı: VPN router'ında bölünmüş yönlendirme nasıl çalışır.

IP temizlik skoru (IP itibarı ya da dolandırıcılık skoru da denir), bazı kontrol sitelerinin bir adrese verdiği risk puanıdır. Ortak bir standart yoktur; her sitenin kendi formülü vardır ve aynı adres siteden siteye çok farklı puan alabilir. Ölçtüğü şey, bir web sitesinin bu adresi ne kadar sıradan bir ev kullanıcısı gibi gördüğüdür. Verilerinizin korunup korunmadığı hakkında hiçbir şey söylemez. Puanı daha çok dört şey belirler.

• Adres türü: ev interneti, mobil ağ ya da veri merkezi.
• Proxy ya da VPN olarak işaretlenip işaretlenmediği: bazı veri tabanları tam olarak bu adresleri toplar.
• Geçmiş: adresten spam gönderilip gönderilmediği, bir API'ye aşırı istek yağdırıp yağdırmadığı ya da şikâyet edilip edilmediği.
• Aynı anda kaç kişinin kullandığı: çok kişi tek bir çıkışı paylaştığında herkesin davranışı aynı adresin hanesine yazılır.

Paylaşılan çıkışlar doğaları gereği düşük puan alır. Birçok kullanıcı tek bir çıkış adresini paylaşır; bunlardan biri bir kez bile bir risk kontrolüne takıldıysa kayıt o adreste kalır. Adres ayrıca veri merkezi aralığındadır ve yalnızca türü yüzünden puan kaybeder. Bu, genel olarak tüm VPN ve proxy çıkışları için geçerlidir.

Pratikte düşük puan, daha fazla CAPTCHA, bazı sitelerde ek doğrulama ve veri merkezi adreslerini kabul etmeyen birkaç hizmet demektir. Sonucu bir referans olarak görün. Belirli bir site sizi geri çevirirse başka bir bölge üzerinden yeniden bağlanın: her bölgenin çıkış adresleri farklıdır ve her bölgenin arkasında birkaç makine vardır.

Router'ın bir ziyaretin bağlantıdan mı yoksa doğrudan mı gideceğine karar verebilmesi için cihazın hangi adı sorduğunu görmesi gerekir. Şifreli DNS'i (DoH ya da DoT) açık olan bir cihaz, üçüncü taraf bir sunucuya kendi şifreli kanalından sorar; router sorguyu hiç görmez ve o cihaz için bölme eşleşmez: bağlantıdan gitmesi gereken bir şey gitmez ya da Çin siteleri dolambaçlı yoldan gider. Evde yalnızca bir cihaz tuhaf davranıyorsa önce buna bakın.

• Android: Ayarlar → Ağ ve internet → Özel DNS, “Kapalı”yı seçin. Menü adları markaya göre değişir; ayarlarda “Özel DNS” diye aratınca bulunur.
• Chrome: Ayarlar → Gizlilik ve güvenlik → Güvenlik → Güvenli DNS kullan, kapatın. Edge ve Firefox'ta gizlilik ayarlarında karşılığı vardır; Firefox buna “HTTPS üzerinden DNS” der.
• iPhone ve Mac: tek bir sistem anahtarı yoktur. Bir DNS uygulaması ya da DNS profili kurduysanız Ayarlar → Genel → VPN ve Aygıt Yönetimi altında devre dışı bırakın; iCloud Özel Geçiş (Private Relay) açıksa onu da kapatın.
• Ardından o cihazı Wi‑Fi'a yeniden bağlayın ve router bölünmüş yönlendirme rehberinin son bölümündeki yöntemle doğrulayın.